Malwares ciblant les systèmes Android

Historique

La première version du système d’exploitation Android date de 2007. Il existe seize versions de ce système d’exploitation et de nombreuses sous-versions. Ce système d’exploitation est basé sur le noyau Linux. La version d’Android peut être identifiée par un numéro de version, mais aussi un nom de code fourni par Google. Voici un récapitulatif des différentes versions d’Android :

Les principales versions encore en circulation sont Oreo, Pie, Android 10, 11 ainsi que la version la plus récente : Android 12.

Le système d’exploitation permet de gérer le matériel du téléphone tel que l’écran, le clavier (physique ou virtuel), les capteurs (accéléromètre, GPS…), la connexion (Wi-Fi, Bluetooth, téléphonie…), la caméra, le port USB ou encore la carte mémoire. Le système d’exploitation fournit une API aux développeurs d’applications afin qu’une même application puisse fonctionner sur tous les modèles de terminaux tournant sous ce système...

Installation via Google Store

Les applications Android sont théoriquement installées via le store de Google. Les attaquants tentent d’utiliser le même procédé. Les utilisateurs font confiance au store et les développeurs de malwares en profitent pour compromettre un maximum d’utilisateurs. Par exemple, le malware BeiTaAd est un adware qui était hébergé et déployé via le store Android. Plus de 230 applications contenant ce malware ont été identifiées en 2019. Ce malware se faisait principalement passer pour des packs de support de langue et des thèmes. Il est difficile de cibler des personnes spécifiques quand on utilise le store de Google pour héberger des applications. Généralement, les malwares utilisant le store ont pour but de compromettre un nombre maximal de cibles.

Dans le cas de BeiTaAd, le malware a été disponible durant plus de sept mois et a compromis des milliers de terminaux à travers le monde.

Installation via des stores alternatifs

Il existe des stores alternatifs à celui proposé par Google. Par exemple, Samsung dispose d’un store depuis des années et Huawei a créé une alternative suite au bannissement de la marque par les USA en 2019. Il existe également des stores maintenus par la communauté, et non pas par des sociétés. Tout comme sur Google Store, les attaquants peuvent utiliser ces stores afin de déployer leurs malwares sur les terminaux des utilisateurs. Ces stores doivent avoir des droits spécifiques afin de pouvoir installer des applications. Le terminal doit pouvoir installer des « sources inconnues ; ce paramètre est configurable dans Paramètres - Sécurité et sources inconnues.

Installation manuelle

Si le terminal...

Machine virtuelle ou téléphone physique ?

Afin de pouvoir analyser, installer et manipuler une application, nous avons besoin d’un laboratoire d’analyse. Deux solutions s’offrent à nous : la virtualisation ou un terminal physique. Chacune de ces solutions a ses avantages et ses inconvénients.

Android dans une machine virtuelle

Il existe un portage Android pour x86. Celui-ci permet donc d’exécuter Android sur une machine virtuelle tournant sur un ordinateur standard avec VirtualBox (ou n’importe quel outil de virtualisation). Ce portage est disponible ici : https://www.fosshub.com/Android-x86.html. Voici la procédure d’installation sous VirtualBox.

Commencez par créer la machine virtuelle en cliquant sur Machine, puis sur New. Ensuite, configurez le nom de la machine et le type :

Puis ajoutez la RAM. Une valeur de 4 Go est réaliste pour un terminal mobile. Ensuite, VirtualBox vous demande de créer le disque dur. Un minimum de 8 Go est nécessaire pour pouvoir travailler confortablement. Votre machine virtuelle est prête :

Il faut à présent présenter le fichier ISO d’Android-x86 à VirtualBox. Allez dans Settings, puis choisissez Storage et enfin cliquez sur le disque pour ajouter l’ISO :

Le système d’exploitation peut à présent être installé :

La procédure est assez simple : allez dans le menu d’installation et suivez les quelques étapes proposées par l’installateur. Une fois l’installation terminée, la machine virtuelle peut finalement être démarrée.

L’utilisation d’une machine virtuelle est très pratique et ne nécessite aucun équipement particulier. Cependant, elle...

Analyse d’un fichier APK

Pour commencer, nous allons travailler sur le malware KevDroid. La première étape consiste à lister les permissions nécessaires au fichier .apk :

paul@lab:~$ aapt dump permissions KevDroid.apk 
package: com.cool.pu 
uses-permission: name='android.permission.RECEIVE_BOOT_COMPLETED' 
uses-permission: name='android.permission.READ_CALL_LOG' 
uses-permission: name='android.permission.READ_SMS' 
uses-permission: name='android.permission.RECEIVE_SMS' 
uses-permission: name='android.permission.RECORD_VIDEO' 
uses-permission: name='android.permission.RECORD_AUDIO' 
uses-permission: name='android.permission.CAMERA' 
uses-permission: name='android.permission.READ_PHONE_STATE' 
uses-permission: name='android.permission.PROCESS_OUTGOING_CALLS' 
uses-permission: name='android.permission.ACCESS_FINE_LOCATION' 
uses-permission: name='android.permission.ACCESS_COARSE_LOCATION' 
uses-permission: name='android.permission.GET_ACCOUNTS' 
uses-permission: name='android.permission.READ_CONTACTS' 
uses-permission: name='android.permission.READ_EXTERNAL_STORAGE' 
uses-permission: name='android.permission.WRITE_EXTERNAL_STORAGE' 
uses-permission: name='android.permission.ACCESS_NETWORK_STATE' 
uses-permission: name='android.permission.INTERNET' 
uses-permission:...

Utilisation de Frida

Tout comme sous Windows, il est possible d’analyser dynamiquement le code en cours d’exécution. L’un des outils les plus populaires est Frida, disponible ici : https://www.frida.re/

Frida permet de tracer l’exécution d’une application Android. Il permet par exemple de lire les valeurs passées aux différentes fonctions, de lire les valeurs en sortie ou encore de les modifier afin de changer le cours d’exécution de l’application. 

Pour utiliser Frida sous Android, il faut tout d’abord installer Frida-server sur le terminal. Il est disponible ici : https://github.com/frida/frida/releases (attention, utilisez la bonne architecture CPU correspondant au terminal) :

C:\Users\paul> adb.exe root 
C:\Users\paul> adb.exe push frida-server-12.6.10-android-arm /data/ 
local/tmp/  
C:\Users\paul> adb.exe shell "chmod 755 /data/local/tmp/frida-server" 
C:\Users\paul> adb.exe shell "/data/local/tmp/ frida-server-12.6.10- 
android-arm &" 

Nous pouvons tester l’installation depuis la machine Windows :

C:\Program Files\Python3\Scripts>frida-ps.exe -U 
 PID  Name 
-----  -------------------------------------------------- 
14118  - 
3605  .dataservices 
1965  ATFWD-daemon 
5990  adbd 
1945  adspd 
1943  adsprpcd 
13297  android.process.media 
1969  audiod 
1948  audioserver 
1949  cameraserver 
1668  capsense_reset 
1941  cnd 
1962  cnss-daemon ...